Aggiungi e collega una chiave di crittografia con l'Admin API

Crea, convalida e collega una chiave di crittografia gestita dal cliente con tre chiamate all'Admin API.

Queste chiamate funzionano su Claude Platform. Su Claude Enterprise o Claude Platform on AWS, segui la tua pagina di configurazione.

Creare una chiave esterna è ciò che fa Add key nella Claude Console, e convalidarla è ciò che fa Verify.

Prima di iniziare

Le "customer-managed encryption keys" (chiavi di crittografia gestite dal cliente), o CMEK, sono attivate per la tua organizzazione.
Hai una chiave Admin API. Gli esempi la leggono da ANTHROPIC_API_KEY.
Hai creato la tua chiave in AWS KMS, Google Cloud KMS o Azure Key Vault e hai conservato i valori che i passaggi di configurazione ti indicano di copiare.
Hai un workspace che conserva i dati, idealmente uno nuovo, perché i dati esistenti restano sotto la chiave di Anthropic.

Crea, convalida e collega la tua chiave

Crea la chiave esterna

Sostituisci <friendly-name> con un nome visualizzato e <key-arn-from-create-key-step> con l'ARN della chiave.

client = anthropic.Anthropic()

external_key = client.organization.external_keys.create(
    display_name="<friendly-name>",
    geo="us",
    provider_config={"type": "aws", "kms_arn": "<key-arn-from-create-key-step>"},
)

print(f"id: {external_key.id}")
print(f"display_name: {external_key.display_name}")

Sostituisci <friendly-name> con un nome visualizzato. Sostituisci il valore che inizia con projects/ con il nome completo della risorsa della chiave.

client = anthropic.Anthropic()

external_key = client.organization.external_keys.create(
    display_name="<friendly-name>",
    geo="us",
    provider_config={
        "type": "gcp",
        "key_name": "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>",
    },
)

print(f"id: {external_key.id}")
print(f"display_name: {external_key.display_name}")

Sostituisci i segnaposto:

<friendly-name>: un nome visualizzato
https://<your-vault-name>.vault.azure.net/: l'URI del vault
<your-key-name>: il nome della chiave
<your-tenant-id>: l'ID tenant del vault

client = anthropic.Anthropic()

external_key = client.organization.external_keys.create(
    display_name="<friendly-name>",
    geo="us",
    provider_config={
        "type": "azure",
        "vault_uri": "https://<your-vault-name>.vault.azure.net/",
        "key_name": "<your-key-name>",
        "tenant_id": "<your-tenant-id>",
    },
)

print(f"id: {external_key.id}")
print(f"display_name: {external_key.display_name}")

L'id nella risposta è l'ID della chiave esterna. Copialo per i due passaggi successivi.

{
  "type": "external_key",
  "id": "ekey_<id>",
  "display_name": "<friendly-name>"
}

Convalida la chiave

Sostituisci ekey_<id> con l'ID della chiave esterna.

client = anthropic.Anthropic()

validation = client.organization.external_keys.validate("ekey_<id>")

print(f"status: {validation.status}")
print(f"error: {validation.error}")

Una risposta riuscita ha questo aspetto:

{ "type": "external_key_validation", "status": "success", "error": null }

Se status è failure, il campo error ne indica il motivo. Consulta Risolvere i problemi di CMEK.

3
Collega la chiave a un workspace
Il collegamento di una chiave non può essere annullato. Se la chiave viene eliminata, Anthropic non può recuperare i dati che protegge.
Sostituisci <workspace-id> con l'ID del workspace, che inizia con wrkspc_, e ekey_<id> con l'ID della chiave esterna.
Python
client = anthropic.Anthropic() workspace = client.organization.workspaces.update( "<workspace-id>", external_key_id="ekey_<id>" ) print(f"id: {workspace.id}") print(f"external_key_id: {workspace.external_key_id}")
La risposta mostra l'ID della chiave collegata in external_key_id. Se la richiesta viene rifiutata, cerca l'errore.

Prima di iniziare

Crea, convalida e collega la tua chiave

Crea la chiave esterna

Convalida la chiave

Collega la chiave a un workspace

Prima di iniziare

Crea, convalida e collega la tua chiave